Google refuerza la seguridad de Android 8.1 Oreo: nuevas medidas para evitar vulnerabilidades y bloquear en caso de robo

Con Android 8.0 Oreo se ha mejorado la seguridad de nuestro sistema. Son buenas noticias que Google se centre en este aspecto con las últimas versiones ya que es precisamente uno de los temores de muchos usuarios. Con un sistema operativo tan extendido, conseguir que sea seguro a todos los niveles es una tarea titánica, pero también primordial.

Ya con la primera versión de Oreo vimos distintas mejoras como la protección que inutiliza el dispositivo en caso de downgrade o Project Treble, un cambio en la arquitectura que además de favorecer las actualizaciones rápidas también organiza Android de tal manera que sea más seguro. Por otro lado tenemos cambios como la automatización que facilita a las aplicaciones saltarse el bloqueo de pantalla si no hay seguridad que si bien no son un añadido de seguridad, sí representan un cambio.

Ahora Google anuncia en su blog para desarrolladores los diversos cambios que se están implantado en Android 8.1 Oreo. Algunos de ellos ya se encuentran activados desde la última actualización y otros son renovaciones en las API que deberán ser implementadas por la misma Google, los desarrolladores o los propios fabricantes.

Mayor seguridad a través del hardware

Android dispone de 'Verified Boot', un sistema que previene al móvil encenderse en caso que el software haya sido comprometido. Con Oreo se ha añadido recientemente el Android Verified Boot 2.0 (AVB) que en conjunción con Project Treble permite actualizaciones más sencillas y seguras. También se crea la protección contra el downgrade, pero en este caso se necesita un hardware especial o tener activada la Trusted Execution Environment (TEE), que de momento solo tienen los Pixel 2 y Pixel 2 XL.

Si hablamos de seguridad a través del hardware, es interesante conocer como los Pixel también disponen de un chip de seguridad, capaz de resistir ataques en caso que se intente desbloquear el móvil por fuerza bruta.

De manera relacionada, todos los nuevos dispositivos con Android Oreo deberán implementar una llave de garantía para poder identificar cada uno de los dispositivos a través de una llave encriptada elípticamente a 256 bits. Si además le sumamos Treble, puede entenderse por qué muchos fabricantes tienen trabajo para implementar correctamente Android 8.0 Oreo en sus dispositivos.

Oreo también incluye el nuevo 'OEM Lock Hardware Abstraction Layer' (HAL) que ofrece a los fabricantes más flexibilidad para determinar cuando el dispositivo está activado, bloqueado o desbloqueable. Es un sistema muy importante en caso de robo, ya que desde las herramientas del fabricante podremos marcar que el dispositivo no se puede resetear.

Aislando los procesos y limitando el acceso al sistema de las aplicaciones

Siguiendo el principio del mínimo privilegio en Android se han ido añadiendo modificaciones que reducen el nivel de permisos necesarios y el acceso de las aplicaciones. Es decir, una app puede acceder hasta determinado nivel del sistema, pero no más allá.

Un reciente estudio reveló que en el 45% de las vulnerabilidades se aprovechaban límites no válidos o directamente inexistentes. Es decir, las aplicaciones o APIs no estaban delimitadas por lo que los exploit podían jugar a sus anchas. Google ofrece ahora ayuda a partir del Android Kernel 3.18 para encontrar estos bugs en el código. Desde esta versión del kernel también se impide acceder directamente al espacio utilizado y se debe hacer a través de las correspondientes API, con esto se consigue que el acceso a nuestros archivos se haga según las normas habituales.

A la hora de acceder a la ID del dispositivo o al hostname se han implantado métodos específicos para impedir conocerlo sin más o para garantizar la privacidad de la red utilizada.

Mientras que para las Android Instant Apps se han restringido sus permisos a un sandbox, por lo que están más aisladas y su potencial daño contenido.

Para un repaso a fondo de los cambios de seguridad de Android Oreo nada mejor que acceder directamente a la página de desarrolladores. Allí veremos que Google continúa actualizando estos detalles que en muchas ocasiones pasan desapercibidos a ojos de los usuarios pero son tan importantes para que nuestro móvil siga siendo seguro y podamos confiar en el buen rendimiento de las herramientas de bloqueo y desbloqueo.

Via | Android Developers Blog
En Xataka Android | Así es como Android mejorará la seguridad y rendimiento de sus aplicaciones a partir de 2018